Käytännössä tämä tarkoittaa muun muassa nopeampia paikkaussyklejä, vahvempia jatkuvuus- ja palautumissuunnitelmia sekä EU:n digitaalista häiriönsietoa koskevan DORA-asetuksen (Digital Operational Resilience Act) täysimääräistä noudattamista .

Mikä Claude Mythos Preview on?

Claude Mythos Preview ei ole julkisesti julkaistu tuote. Anthropic on rajannut sen tarkoin valitulle Project Glasswing -kumppaniohjelmalle, johon kuuluu noin 40 kriittistä teknologia- ja rahoitusalan yritystä. Mallia on tarkoitus käyttää puolustavan kyberturvallisuuden testaamiseen, ei hyökkäysten toteuttamiseen .

Sen osoitetut kyvyt ovat silti herättäneet nopeasti huolta rahoitusalan valvojissa eri puolilla maailmaa .

Miksi malli muuttaa kyberuhan mittakaavaa?

Se pystyy toteuttamaan monivaiheisia hyökkäyksiä itsenäisesti

Yhdistyneen kuningaskunnan tekoälyn turvallisuusinstituutin AISI:n kontrolloiduissa testeissä Mythos Preview sai kohteekseen haavoittuvan verkon ja verkkoyhteyden. Se pystyi etsimään tietoturva-aukkoja, hyödyntämään niitä ja etenemään usean vaiheen hyökkäyksessä ilman ihmisen jatkuvaa ohjausta. Vastaava työ voisi viedä ihmisasiantuntijoilta päiviä .

Mallin kerrotaan ratkaisseen ensimmäisenä testattuna mallina 32-vaiheisen simuloidun yritysverkkohyökkäyksen alusta loppuun. Täysi järjestelmän haltuunotto onnistui kolmessa kymmenestä yrityksestä .

Se etsii haavoittuvuuksia koneen nopeudella

Anthropicin omissa testeissä malli löysi "tuhansia vakavia haavoittuvuuksia", muun muassa kaikista keskeisistä käyttöjärjestelmistä ja verkkoselaimista . Yhtiön mukaan Mythos Preview pystyi käyttäjän ohjaamana tunnistamaan ja hyödyntämään myös niin sanottuja nollapäivähaavoittuvuuksia – ohjelmistovirheitä, joista valmistaja ei vielä tiedä eikä joihin ole julkaistu korjausta .

Tämä voi kutistaa olennaisesti ajan, joka perinteisesti jää haavoittuvuuden löytymisen ja sen hyväksikäytön väliin. Pankeille haaste on erityisen merkittävä, koska niiden IT-ympäristöt ovat usein laajoja, hajautuneita ja osin vuosikymmenten aikana rakentuneita .

Yksittäinen hyökkäys voi muuttua järjestelmäriskiksi

Kansainvälinen valuuttarahasto IMF on varoittanut, että nopeasti kehittyvät tekoälyvetoiset kyberriskit voivat huonosti hallittuina horjuttaa rahoitusjärjestelmää. Viranomaisten pitäisi sen mukaan käsitellä niitä teknisten ongelmien lisäksi myös valvonnan, yhteistyön ja rahoitusvakauden kysymyksinä .

Huolen ytimessä on mahdollisuus, että Mythoksen kaltainen malli mahdollistaisi samanaikaiset hyökkäykset toisiinsa kytkeytyviin pankkeihin ja muihin rahoitusmarkkinoiden kriittisiin järjestelmiin. Tällöin yksittäinen kyberhäiriö voisi levitä laajemmaksi rahoitusvakauden ongelmaksi.

Miten EKP:n toimet liittyvät vuosien 2026–2028 valvontaan?

EKP:n reagointi ei ole irrallinen hätäratkaisu. Se sopii suoraan pankkivalvonnan vuosien 2026–2028 ohjelmaan, jossa painopisteet on ensimmäistä kertaa viiteen vuoteen tiivistetty kahteen pääkokonaisuuteen .

Mythos-tilanne liittyy erityisesti toiseen prioriteettiin: pankkien operatiivisen häiriönsiedon ja vahvojen ICT-valmiuksien vahvistamiseen . Sen keskeisiä odotuksia ovat:

• DORA-asetuksen täysimääräinen toimeenpano, erityisesti ICT-palveluntarjoajien riskeissä, häiriöraportoinnissa ja digitaalisen häiriönsiedon testaamisessa .
• Aiemmissa valvonta-arvioissa havaittujen kyberturvallisuus- ja ulkoistamisriskien puutteiden korjaaminen .
• Pitkäjänteinen digitaalinen strategia ja tekoälyn hallintamalli, jossa huomioidaan esimerkiksi datan laatu, mallien selitettävyys, koko elinkaaren kattava mallihallinta, vastuut sekä riippuvuus muutamista EU:n ulkopuolisista tekoälytoimittajista .

EKP:n viesti on siten selvä: pankkien ei enää riitä esitellä tekoälyyn liittyviä periaatteita tai rajattuja pilotteja. Niiltä odotetaan rahoitettuja ja konkreettisia korjaussuunnitelmia .

Pankkivalvonnan näkökulmasta kyky ylläpitää kriittisiä palveluja vakavan, tekoälyn vauhdittaman kyberhäiriön aikana ei ole enää pelkkä tekninen lisäetu. Se on osa pankin turvallisuutta ja vakavaraisuutta koskevaa kokonaisarviota.

Käytännössä tämä tarkoittaa muun muassa nopeampia paikkaussyklejä, vahvempia jatkuvuus- ja palautumissuunnitelmia sekä EU:n digitaalista häiriönsietoa koskevan DORA-asetuksen (Digital Operational Resilience Act) täysimääräistä noudattamista .

Mikä Claude Mythos Preview on?

Claude Mythos Preview ei ole julkisesti julkaistu tuote. Anthropic on rajannut sen tarkoin valitulle Project Glasswing -kumppaniohjelmalle, johon kuuluu noin 40 kriittistä teknologia- ja rahoitusalan yritystä. Mallia on tarkoitus käyttää puolustavan kyberturvallisuuden testaamiseen, ei hyökkäysten toteuttamiseen .

Sen osoitetut kyvyt ovat silti herättäneet nopeasti huolta rahoitusalan valvojissa eri puolilla maailmaa .

Miksi malli muuttaa kyberuhan mittakaavaa?

Se pystyy toteuttamaan monivaiheisia hyökkäyksiä itsenäisesti

Yhdistyneen kuningaskunnan tekoälyn turvallisuusinstituutin AISI:n kontrolloiduissa testeissä Mythos Preview sai kohteekseen haavoittuvan verkon ja verkkoyhteyden. Se pystyi etsimään tietoturva-aukkoja, hyödyntämään niitä ja etenemään usean vaiheen hyökkäyksessä ilman ihmisen jatkuvaa ohjausta. Vastaava työ voisi viedä ihmisasiantuntijoilta päiviä .

Mallin kerrotaan ratkaisseen ensimmäisenä testattuna mallina 32-vaiheisen simuloidun yritysverkkohyökkäyksen alusta loppuun. Täysi järjestelmän haltuunotto onnistui kolmessa kymmenestä yrityksestä .

Se etsii haavoittuvuuksia koneen nopeudella

Anthropicin omissa testeissä malli löysi "tuhansia vakavia haavoittuvuuksia", muun muassa kaikista keskeisistä käyttöjärjestelmistä ja verkkoselaimista . Yhtiön mukaan Mythos Preview pystyi käyttäjän ohjaamana tunnistamaan ja hyödyntämään myös niin sanottuja nollapäivähaavoittuvuuksia – ohjelmistovirheitä, joista valmistaja ei vielä tiedä eikä joihin ole julkaistu korjausta .

Tämä voi kutistaa olennaisesti ajan, joka perinteisesti jää haavoittuvuuden löytymisen ja sen hyväksikäytön väliin. Pankeille haaste on erityisen merkittävä, koska niiden IT-ympäristöt ovat usein laajoja, hajautuneita ja osin vuosikymmenten aikana rakentuneita .

Yksittäinen hyökkäys voi muuttua järjestelmäriskiksi

Kansainvälinen valuuttarahasto IMF on varoittanut, että nopeasti kehittyvät tekoälyvetoiset kyberriskit voivat huonosti hallittuina horjuttaa rahoitusjärjestelmää. Viranomaisten pitäisi sen mukaan käsitellä niitä teknisten ongelmien lisäksi myös valvonnan, yhteistyön ja rahoitusvakauden kysymyksinä .

Huolen ytimessä on mahdollisuus, että Mythoksen kaltainen malli mahdollistaisi samanaikaiset hyökkäykset toisiinsa kytkeytyviin pankkeihin ja muihin rahoitusmarkkinoiden kriittisiin järjestelmiin. Tällöin yksittäinen kyberhäiriö voisi levitä laajemmaksi rahoitusvakauden ongelmaksi.

Miten EKP:n toimet liittyvät vuosien 2026–2028 valvontaan?

EKP:n reagointi ei ole irrallinen hätäratkaisu. Se sopii suoraan pankkivalvonnan vuosien 2026–2028 ohjelmaan, jossa painopisteet on ensimmäistä kertaa viiteen vuoteen tiivistetty kahteen pääkokonaisuuteen .

Mythos-tilanne liittyy erityisesti toiseen prioriteettiin: pankkien operatiivisen häiriönsiedon ja vahvojen ICT-valmiuksien vahvistamiseen . Sen keskeisiä odotuksia ovat:

• DORA-asetuksen täysimääräinen toimeenpano, erityisesti ICT-palveluntarjoajien riskeissä, häiriöraportoinnissa ja digitaalisen häiriönsiedon testaamisessa .
• Aiemmissa valvonta-arvioissa havaittujen kyberturvallisuus- ja ulkoistamisriskien puutteiden korjaaminen .
• Pitkäjänteinen digitaalinen strategia ja tekoälyn hallintamalli, jossa huomioidaan esimerkiksi datan laatu, mallien selitettävyys, koko elinkaaren kattava mallihallinta, vastuut sekä riippuvuus muutamista EU:n ulkopuolisista tekoälytoimittajista .

EKP:n viesti on siten selvä: pankkien ei enää riitä esitellä tekoälyyn liittyviä periaatteita tai rajattuja pilotteja. Niiltä odotetaan rahoitettuja ja konkreettisia korjaussuunnitelmia .

Pankkivalvonnan näkökulmasta kyky ylläpitää kriittisiä palveluja vakavan, tekoälyn vauhdittaman kyberhäiriön aikana ei ole enää pelkkä tekninen lisäetu. Se on osa pankin turvallisuutta ja vakavaraisuutta koskevaa kokonaisarviota.